gitHack工作原理:
寻找测试目标:
google hack "index of /.git"
解析元数据:
/.git/index的作用:
The index is a single, large, binary file in
/.git/index, which lists all files in the current branch, their sha1 checksums, time stamps and the file name
通过gin这个工具去解析index文件
解析结果:
下载文件:
通过上面获得的sha1来构造url:
.git/objects/sha前两位/sha后两位之后的内容
对返回的数据进行zlib解压就可以下载到文件了
危害:
修复方案:
对.git目录限制,不对外访问
漏洞原因:
开发人员通常会使用版本控制工具来管理代码,在上线的服务器上的根目录上使用简单的git操作就可以很方便的更新、管理代码。
版本控制工具在带来便利的同时,由于开发人员的疏忽,导致出现源代码安全的问题